Firwalld-cheat-sheet

Allgemeines

Firewalld ist ein dynamisches Frontend für nftables oder iptables. Es verwendet Zonen und Dienste statt einzelner Regeln.

Installation

apt install firewalld

Dienst starten und aktivieren

systemctl enable firewalld
systemctl start firewalld
systemctl status firewalld

Status anzeigen

firewall-cmd --state
firewall-cmd --list-all
firewall-cmd --list-all-zones

Zonen anzeigen

firewall-cmd --get-zones
firewall-cmd --get-default-zone

Standardzone setzen

firewall-cmd --set-default-zone=public

Aktive Zonen und Interfaces anzeigen

firewall-cmd --get-active-zones

Interface einer Zone zuweisen

firewall-cmd --zone=home --change-interface=eth0

Dienste erlauben (sofern definiert in /etc/services oder firewalld service)

firewall-cmd --zone=public --add-service=ssh
firewall-cmd --zone=public --add-service=http
firewall-cmd --zone=public --add-service=https

Dienste dauerhaft erlauben

firewall-cmd --zone=public --add-service=ssh --permanent
firewall-cmd --reload

Ports freigeben

firewall-cmd --zone=public --add-port=8080/tcp
firewall-cmd --zone=public --add-port=53/udp

Ports dauerhaft freigeben

firewall-cmd --zone=public --add-port=8080/tcp --permanent
firewall-cmd --reload

Regeln löschen

firewall-cmd --zone=public --remove-port=8080/tcp
firewall-cmd --zone=public --remove-service=http

Logging aktivieren

firewall-cmd --set-log-denied=all

Logging deaktivieren

firewall-cmd --set-log-denied=off

Forwarding aktivieren

Aktiviert IP-Forwarding über sysctl

/etc/sysctl.conf

net.ipv4.ip_forward = 1

Firewalld Forwarding in Zone aktivieren

firewall-cmd --zone=internal --add-masquerade
firewall-cmd --zone=internal --add-masquerade --permanent

Konfigurationsdateien

Zonen und Regeln der Firewall (nicht direkt bearbeiten)

/etc/firewalld/zones/

Eigene Services, wenn Standard nicht reicht

/etc/firewalld/services/

Allgemeine Konfiguration

/etc/firewalld/firewalld.conf

Persistente Konfiguration für permanente Regeln

/var/lib/firewalld/

Typische Probleme

firewalld blockt trotz Regel → reload vergessen oder Zone falsch
Interface wird nicht zugewiesen → Zone prüfen, z. B. public vs. home
Masquerading fehlt → forwarding oder NAT geht nicht
firewalld läuft, aber Regeln greifen nicht → firewalld neu starten